NIS2 na fábrica portuguesa: do diagnóstico ao plano técnico

O CERT.PT registou 2.758 incidentes de cibersegurança em Portugal em 2024 — mais 36% do que em 2023, com 78% a ocorrer em entidades privadas (CNCS, 2024). A maioria não foi detetada a tempo. Não por falta de antivírus: por falta de arquitetura. Nas fábricas portuguesas, o problema não é tecnológico — é de sequência. Compra-se firewall antes de saber o que está ligado à rede. Instala-se EDR antes de revogar o acesso VPN do técnico da máquina de injeção que saiu há dois anos. O Decreto-Lei n.º 65/2025 transpôs a Diretiva NIS2 e tornou obrigatório o que muitas empresas industriais ainda tratam como opcional. Este artigo não explica o que é a NIS2 — assume que já sabe. O que se segue é o trabalho real: diagnóstico, priorização e plano técnico para uma fábrica a funcionar.

A tese que os manuais evitam dizer

A maioria das empresas industriais portuguesas vai falhar a conformidade NIS2 não por falta de orçamento, mas por diagnosticar o problema errado. Investem em firewalls e antivírus — e ignoram que o maior vetor de ataque é o ERP mal segmentado, o terminal de chão-de-fábrica sem autenticação, e o acesso remoto do fornecedor de manutenção que nunca foi revogado.

A NIS2 não é um projeto de TI. É um projeto de arquitetura operacional. Quem o tratar como uma checklist de software vai gastar dinheiro e continuar vulnerável.

Há um dado que ilustra a escala do problema: nas pequenas e médias empresas, o ransomware esteve presente em 88% das violações de dados analisadas em 2025, contra 39% nas grandes organizações (Verizon DBIR, 2025). As PME industriais portuguesas não são alvos secundários — são o alvo preferencial, precisamente porque têm sistemas de produção digitalizados e defesas desproporcionalmente fracas. O que se segue é como mudar essa equação, por ordem de execução.

Fase 1 — Diagnóstico: o que auditar antes de comprar seja o que for

O inventário que ninguém tem completo

O primeiro problema técnico é simples e humilhante: a maioria das fábricas não sabe o que tem ligado à rede. Não é exagero. Terminais de produção com Windows 7 embebido, PLCs com acesso Telnet, switches não geridos no armazém, impressoras com firmware de 2015 — tudo isto existe, e nenhum destes ativos aparece no inventário oficial de TI. O responsável de TI sabe que existem. Não estão documentados. E é exatamente aí que o atacante entra.

O diagnóstico NIS2 começa por um inventário de ativos completo que inclui obrigatoriamente todos os dispositivos de rede — incluindo OT: PLCs, SCADA, HMIs, terminais industriais —, todas as APIs e integrações externas ativas (incluindo as do ERP MULTI com fornecedores, clientes e plataformas logísticas), todos os acessos remotos — VPN, RDP, TeamViewer, AnyDesk — com identificação de quem os usa, com que frequência e se ainda são necessários, todos os contratos de manutenção com acesso à rede interna, e todos os sistemas de autenticação — incluindo onde não existe autenticação nenhuma.

Este inventário demora entre duas e quatro semanas numa fábrica de médio porte. Não pode ser feito só por entrevistas. Requer scanning ativo da rede — ferramentas como Nmap, Nessus ou equivalentes comerciais — combinado com revisão documental. Quem saltar esta fase e passar diretamente para a compra de tecnologia vai descobrir, durante a implementação, que tem dispositivos que ninguém sabia que existiam e que invalidam metade da arquitetura desenhada.

A segmentação de rede como ponto de partida técnico

Depois do inventário, a pergunta crítica é: o que está separado do quê? Na maioria das fábricas portuguesas, a resposta honesta é que nada está separado de nada. A rede de escritório, a rede de produção, a rede de videovigilância e o Wi-Fi de visitantes partilham o mesmo segmento — ou pior, o mesmo switch não gerido comprado há doze anos numa loja de informática em Braga.

A NIS2 exige, implicitamente, segmentação de rede entre ambientes IT e OT. Não é uma recomendação — é um requisito de gestão de risco (Artigo 21.º da Diretiva (UE) 2022/2555). A ausência de segmentação significa que um ataque de ransomware que entra pelo email do responsável de compras pode, em horas, chegar aos controladores de produção. Numa fábrica de confecção no Vale do Ave com encomendas para entregar na sexta-feira, isso não é um cenário teórico.

Avaliação de maturidade: onde está a empresa hoje

Use esta tabela como ferramenta de diagnóstico rápido. O objetivo NIS2 não é o Nível 4 — é o Nível 3, de forma consistente, nos domínios de maior risco. Uma fábrica têxtil típica com 120 colaboradores estará, na maioria dos domínios, entre o Nível 1 e o Nível 2. Isso é o ponto de partida, não uma sentença.

Fase 2 — Priorização: o que resolver primeiro

O erro de tratar todos os riscos como iguais

O segundo erro mais comum — a seguir ao inventário incompleto — é tentar resolver tudo ao mesmo tempo. Isso paralisa. A NIS2 exige medidas "proporcionais ao risco" (Artigo 21.º, n.º 1). Isso é uma permissão explícita para priorizar. A priorização deve cruzar dois eixos: probabilidade de exploração e impacto operacional. Num ambiente industrial, o impacto operacional inclui a paragem de produção — que tem um custo horário calculável e imediato. Calcule-o antes de apresentar o plano à direção. Um número concreto vale mais do que qualquer argumento regulatório.

Os cinco vetores de risco mais frequentes em fábricas portuguesas

Acesso remoto não controlado. VPNs sem MFA, sessões RDP expostas diretamente à internet, credenciais de fornecedores que nunca expiraram. Este é o vetor de entrada mais comum em ransomware industrial. Corrija-o primeiro, antes de qualquer outra coisa.

ERP sem segmentação de acesso. Utilizadores com acesso a módulos que não usam, sem logs de auditoria ativos, sem revisão periódica de permissões. O ERP MULTI e o QAD Adaptive ERP suportam controlo granular de perfis — mas esse controlo tem de ser configurado e mantido activamente. A instalação de origem não é a configuração de segurança. São coisas diferentes.

Terminais OT sem gestão de patches. PLCs e HMIs com firmware desactualizado, frequentemente porque o fornecedor da máquina não suporta atualizações sem intervenção presencial e cobra deslocação. Este problema não tem solução rápida — mas tem mitigação: isole estes dispositivos em VLANs sem acesso à internet e documente-os formalmente como "risco aceite com mitigação". Essa documentação é o que a autoridade competente vai pedir.

Ausência de logs centralizados. Sem agregação de logs, não há deteção de anomalias, não há capacidade de investigação pós-incidente, e não há evidência para o CNCS em caso de notificação obrigatória. Os logs existem nos sistemas individuais — simplesmente não estão a ser recolhidos nem correlacionados.

Fornecedores de software com acesso permanente. O técnico de manutenção que tem acesso VPN ativo 365 dias por ano, mesmo que só precise de entrar duas vezes. Revogue. Implemente acesso just-in-time com aprovação explícita e registo de sessão. Este é o vector que nenhum relatório de auditoria menciona e que toda a gente na fábrica conhece.

Matriz de decisão: opções técnicas por domínio

Fase 3 — Plano técnico: como estruturar os primeiros 90 dias

Semanas 1-2: inventário e baseline

Não compre nada. Não instale nada. Primeiro, saiba o que tem. Execute o scanning de rede, documente os ativos, mapeie os fluxos de dados críticos — especialmente os que ligam o ERP ao chão-de-fábrica, ao armazém e aos sistemas de fornecedores. O artigo sobre infraestrutura de TI industrial tem um mapa completo dos componentes a auditar por tipo de ambiente.

Semanas 3-4: remediação de alto risco imediato

Com o inventário feito, identifique os três a cinco riscos de maior probabilidade e maior impacto. Corrija-os antes de avançar. Tipicamente: revogue acessos remotos desnecessários, active MFA no email e na VPN, e isole em VLAN os dispositivos OT que não podem ser atualizados. Estas três ações são executáveis sem orçamento significativo e reduzem a superfície de ataque de forma mensurável.

Semanas 5-8: arquitetura de segurança

Defina a arquitetura alvo — não a arquitetura perfeita, mas a arquitetura que a organização consegue operar e manter. Uma fábrica com um técnico de TI a tempo parcial não vai operar um SOC interno. Definir o que é realista não é uma concessão — é a única forma de construir algo que dure. O artigo sobre engenharia de sistemas e alinhamento de infraestrutura descreve o método de decisão arquitectural para este tipo de contexto.

Semanas 9-12: documentação e procedimentos

A NIS2 exige evidência. Não basta ter as medidas — é preciso documentá-las. Isso inclui: política de segurança da informação, procedimento de gestão de incidentes, plano de continuidade de negócio, e registos de acesso a sistemas críticos. A Gestão Documental com workflow de aprovação e assinatura qualificada eIDAS resolve a parte de arquivo legal e rastreabilidade de documentos de conformidade — e garante que a documentação não existe só no computador do responsável de TI.

Semana 13 em diante: monitorização e melhoria contínua

Configure alertas, defina indicadores de segurança — número de incidentes por mês, tempo médio de deteção, percentagem de sistemas com patches atualizados — e reveja o plano trimestralmente. A conformidade NIS2 não é um estado que se atinge. É um processo que se mantém. Sem dono e sem calendário, não sobrevive ao primeiro trimestre.

O que funciona na prática: três padrões observados em contexto industrial português

Padrão 1 — A fábrica que começou pelo backup

Numa fábrica de calçado em Felgueiras com cerca de 80 colaboradores, o ponto de entrada para a conformidade NIS2 foi o backup. A empresa já tinha sofrido uma perda de dados por falha de disco e a memória do incidente era recente. A direção aprovou o investimento num sistema de backup 3-2-1 com cópia offsite em menos de uma semana — sem precisar de ouvir falar da NIS2. A partir daí, o responsável de TI usou o mesmo argumento — "já perdemos dados uma vez" — para aprovar o MFA e a segmentação de rede. A sequência importa: comece pelo risco que a organização já viveu. O regulatório vem a seguir, como confirmação, não como motivação.

Padrão 2 — A integração ERP como vetor de risco subestimado

Em empresas industriais com integrações entre o ERP e plataformas de clientes ou fornecedores — via Multi Connect ou APIs externas — o risco de cadeia de fornecimento é sistematicamente ignorado nos diagnósticos iniciais. A NIS2 é explícita: as obrigações estendem-se à cadeia de fornecimento digital (Artigo 21.º, n.º 2, alínea d)). Audite todas as integrações ativas. Desactive as que já não têm uso operacional — e há sempre pelo menos duas que ninguém sabe explicar para que servem. Para as restantes, verifique se o fornecedor tem política de segurança documentada. Se não tem, exija-a contratualmente antes da próxima renovação.

Padrão 3 — O responsável de TI como pivot de conformidade

Em muitas PME industriais portuguesas, o "departamento de TI" é uma pessoa. Essa pessoa conhece a fábrica melhor do que qualquer consultor externo — sabe que o servidor de produção reinicia às 3h da manhã porque senão trava, e que o técnico da máquina de corte entra via TeamViewer sem aviso prévio há três anos. Esse conhecimento é um ativo de diagnóstico insubstituível. O erro clássico é isolar essa pessoa do processo de conformidade e entregar tudo a um consultor externo que não conhece o contexto e vai embora depois da entrega do relatório. O modelo que funciona: consultor externo para a framework e a documentação, responsável interno para o inventário e a priorização. Sem essa divisão, o plano fica bem no papel e não funciona na fábrica.

O défice global de profissionais de cibersegurança chegou a cerca de 4,76 milhões de pessoas em 2024 — um aumento de 19% face a 2023 (ISC2, 2024). Em Portugal, isso traduz-se numa realidade direta: não há técnicos de segurança disponíveis para todas as fábricas que precisam deles. A conformidade NIS2 tem de ser desenhada para ser operada por quem já está na empresa — não por quem vai ser contratado e nunca aparece.

NIS2 e os sistemas industriais: o caso específico do OT

Por que o OT é diferente — e mais difícil

Os ambientes de tecnologia operacional — PLCs, SCADA, sistemas de controlo de produção — foram desenhados para disponibilidade, não para segurança. Um PLC que controla uma linha de costura em Guimarães não pode ser reiniciado para aplicar um patch sem parar a produção. Um sistema SCADA de uma linha de acabamentos têxteis no Vale do Ave pode ter 15 anos e não suportar autenticação moderna. Isto não é negligência — é a realidade de equipamento industrial com ciclos de vida de 20 anos que nunca foram pensados para estar ligados a redes IP.

A abordagem correta para OT não é a mesma que para IT. Não se aplicam patches com a mesma cadência. Não se instala EDR em firmware embebido. O que se faz é isolar os dispositivos OT em VLANs sem acesso direto à internet, monitorizar o tráfego OT passivamente — sem interferir no protocolo — com ferramentas especializadas como Claroty, Dragos ou Nozomi, documentar todos os dispositivos com firmware desactualizado como "risco aceite com mitigação" com revisão anual, e exigir aos fornecedores de equipamento industrial que documentem o ciclo de vida de suporte de segurança dos seus sistemas. Esse último ponto é novo para a maioria dos fornecedores portugueses de máquinas — e vai ser uma conversa difícil.

A convergência IT/OT como risco estrutural

O KORA Productivity, como qualquer sistema de captura de produção em tempo real, cria pontos de integração entre o chão-de-fábrica e os sistemas de gestão. Essa integração é o valor do produto — e é também um ponto de superfície de ataque que tem de ser considerado na arquitetura de segurança. Não é um argumento contra a digitalização: é um argumento para a fazer com arquitetura deliberada, não por acumulação de integrações ad hoc ao longo de cinco anos sem revisão.

Notificação de incidentes: o que a NIS2 exige operacionalmente

Os prazos que não admitem improviso

A NIS2, transposta pelo DL 65/2025, define prazos de notificação obrigatória à autoridade competente — em Portugal, o CNCS — que são operacionalmente exigentes. Nas primeiras 24 horas após a deteção de um incidente significativo, é obrigatório enviar um alerta inicial. Às 72 horas, uma notificação com avaliação inicial de impacto e indicadores de comprometimento. Ao fim de um mês, um relatório final com análise de causa raiz, medidas tomadas e lições aprendidas.

Cumprir estes prazos sem um procedimento de gestão de incidentes documentado e testado é impossível. A maioria das fábricas não tem esse procedimento. Construí-lo é uma das ações de maior retorno do plano NIS2 — porque serve tanto para a conformidade regulatória como para a resposta operacional a qualquer incidente, independentemente da obrigação legal.

O que conta como "incidente significativo"

A Diretiva define incidente significativo como aquele que causa ou pode causar perturbação grave dos serviços, perdas financeiras significativas, ou danos a outras pessoas. Na prática industrial, isso inclui ransomware que afeta sistemas de produção, comprometimento de credenciais de acesso ao ERP, e exfiltração de dados de clientes ou de propriedade intelectual — fichas técnicas, moldes, fórmulas de acabamento. Não inclui spam, tentativas de phishing bloqueadas, ou falhas de hardware sem componente de segurança. A distinção importa: notificações desnecessárias criam ruído regulatório; notificações em falta criam responsabilidade legal.

Em 2024, o custo médio global de uma violação de dados atingiu 4,88 milhões de dólares — um recorde, mais 10% do que em 2023 (IBM, 2024). Para uma PME industrial portuguesa, a questão não é se pode pagar esse custo. É se consegue sobreviver a ele.

ISO 27001 e NIS2: complementares, não redundantes

O que a ISO 27001 resolve que a NIS2 não especifica

A NIS2 define o "o quê" — as categorias de medidas obrigatórias. A ISO 27001 define o "como" — o sistema de gestão que garante que as medidas são implementadas, mantidas e melhoradas de forma sistemática. Para uma empresa que já tem ou está a considerar certificação ISO 27001, a conformidade NIS2 é maioritariamente coberta pelo âmbito da norma. Para quem não tem, a ISO 27001 é o caminho mais estruturado para chegar à conformidade NIS2 de forma sustentável — com o benefício adicional de ter valor comercial junto de clientes internacionais que exigem evidência de maturidade em segurança.

Não são a mesma coisa. A NIS2 é uma obrigação legal com sanções. A ISO 27001 é uma certificação voluntária com valor de mercado. Mas o trabalho técnico de base é amplamente partilhado — e fazer os dois em paralelo, com o mesmo plano de implementação, é mais eficiente do que fazê-los em sequência.

O RGPD como pré-requisito implícito

Muitas das medidas técnicas da NIS2 — controlo de acesso, logs de auditoria, gestão de incidentes, avaliação de risco — são também obrigações do RGPD e da Lei 58/2019. Uma empresa que já implementou o RGPD corretamente tem 40% a 60% do trabalho técnico NIS2 feito. O problema é que a maioria das PME industriais implementou o RGPD como exercício de documentação, sem as medidas técnicas correspondentes. Há uma política de privacidade no site e um registo de atividades de tratamento numa pasta partilhada. As medidas técnicas que a política descreve não existem na realidade. Verifique se o que está no papel existe na rede.

Financiamento: como usar PT2030 e PRR para este investimento

O que é elegível e o que não é

Os instrumentos PT2030, PRR e Norte 2030 têm linhas de financiamento para transformação digital que incluem explicitamente cibersegurança como componente elegível. Diagnósticos de segurança, implementação de SIEM, segmentação de rede, formação de colaboradores e certificação ISO 27001 são tipicamente elegíveis. Licenças de antivírus, hardware de substituição de rotina e consultoria de conformidade sem componente de implementação tecnológica tipicamente não são.

A chave para a elegibilidade é enquadrar o investimento em cibersegurança como parte de um projecto de transformação digital mais amplo — que pode incluir a implementação ou modernização do ERP, a digitalização do armazém com KORA Inventory Suite, ou a adoção de Qlik Sense para BI operacional. A cibersegurança como componente de um projecto digital tem taxas de aprovação significativamente superiores à cibersegurança como projecto autónomo. Este é um detalhe que a maioria dos candidatos descobre depois de a candidatura ser rejeitada — não antes.

Para uma avaliação técnica do enquadramento do seu projecto, o artigo sobre arquitetura de soluções para a sua empresa descreve o processo de decisão.

O plano técnico em cinco passos ordenados

Primeiro: inventarie tudo antes de comprar seja o que for. Scanning ativo de rede, revisão de acessos remotos, mapeamento de integrações ERP. Sem inventário completo, qualquer investimento em segurança é um tiro no escuro — e um tiro caro.

Segundo: corrija os três riscos de maior probabilidade imediata. Tipicamente MFA no acesso remoto, revogação de acessos de fornecedores inativos, e isolamento de dispositivos OT sem suporte de patches. Estas três ações reduzem a superfície de ataque de forma mensurável em menos de quatro semanas, sem orçamento significativo.

Terceiro: defina a arquitetura alvo que a organização consegue operar. Não a arquitetura ideal — a arquitetura real. Uma fábrica com um técnico de TI a tempo parcial precisa de uma arquitetura que essa pessoa consiga manter sozinha, com suporte externo pontual. O artigo sobre infraestrutura de TI industrial tem os

Perguntas frequentes

O que é o inventário de ativos e por que é tão crítico para a NIS2?

O inventário de ativos é o registo completo de todos os dispositivos ligados à rede — computadores, PLCs, SCADA, HMIs, impressoras, switches e sistemas de acesso remoto. É crítico porque a maioria das fábricas portuguesas não o tem completo. Dispositivos esquecidos (como terminais com Windows 7 ou acessos VPN antigos) tornam-se portas de entrada para ataques. Sem inventário, qualquer plano de segurança fica incompleto.

Quanto tempo demora a fazer um diagnóstico NIS2 completo numa fábrica?

Numa fábrica de médio porte, o diagnóstico demora entre duas e quatro semanas. Requer scanning ativo da rede com ferramentas como Nmap ou Nessus, combinado com revisão documental. Não pode ser feito apenas por entrevistas. Quem tentar acelerar este processo corre o risco de descobrir, durante a implementação, que tem ativos não documentados que invalidam a arquitetura desenhada.

A NIS2 obriga a ter segmentação de rede entre IT e OT?

Sim. O Artigo 21.º da Diretiva NIS2 exige segmentação de rede entre ambientes IT e OT como requisito de gestão de risco. Na maioria das fábricas portuguesas, tudo está no mesmo segmento. Sem segmentação, um ataque de ransomware que entra pelo email pode chegar aos controladores de produção em poucas horas, paralisando a produção.

Qual é o nível de maturidade que uma fábrica precisa atingir para estar conforme com a NIS2?

O objetivo NIS2 não é o Nível 4 (Otimizado), mas o Nível 3 (Gerido), de forma consistente, nos domínios de maior risco. Uma fábrica típica com 120 colaboradores estará, na maioria dos domínios, entre o Nível 1 e Nível 2 no início. Esse é o ponto de partida, não uma sentença.

Por que as PME industriais são alvos preferidos de ransomware?

As PME industriais têm sistemas de produção digitalizados, mas defesas desproporcionalmente fracas. Combinam dois fatores que as tornam alvos atraentes: dependência crítica de continuidade operacional e recursos limitados em cibersegurança. Isso torna o ransomware particularmente eficaz como vetor de ataque.

Qual é o erro mais comum que as empresas cometem ao implementar a NIS2?

O erro mais comum é diagnosticar o problema errado. As empresas investem em firewalls e antivírus, ignorando que os maiores vetores de ataque são o ERP mal segmentado, terminais de chão-de-fábrica sem autenticação e acessos remotos de fornecedores nunca revogados. A NIS2 é um projeto de arquitetura operacional, não apenas de software.

É necessário ter um orçamento muito elevado para estar conforme com a NIS2?

Não. A maioria das empresas industriais portuguesas vai falhar a conformidade NIS2 não por falta de orçamento, mas por diagnosticar o problema errado. A priorização deve cruzar probabilidade de exploração com impacto operacional, permitindo resolver primeiro os riscos mais críticos de forma proporcional.

Fontes

• Diretiva (UE) 2022/2555 (NIS2) — Diretiva relativa às medidas para um elevado nível comum de cibersegurança em toda a União
• Decreto-Lei n.º 65/2025 — Transposição da Diretiva NIS2 para a ordem jurídica portuguesa
• CNCS (Centro Nacional de Cibersegurança) — Relatório de Incidentes de Cibersegurança em Portugal 2024
• ENISA (Agência da União Europeia para a Cibersegurança) — Guidelines on Cybersecurity Measures for Operators of Essential Services (NIS2 implementation)
• ISO/IEC 27001:2022 — Norma internacional de gestão da segurança da informação (referência técnica para conformidade NIS2)